Re: Virenscanner
hi,
Am 10. November 2013 13:29 schrieb Martin Steigerwald <Martin@lichtvoll.de>:
> Am Sonntag, 10. November 2013, 12:43:58 schrieb Bjoern Meier:
>
> Meine Güte.
>
> Natürlich habe ich so ein PHP-Skript mitsamt Webserver auf meinem Desktop-
> System laufen, da kann ich auch gleich SSH aufmachen und mein Root-Passwort
> auf "admin" setzen.
>
> Ganz klar.
>
> Warum auch nicht…
Natürlich hat man das nicht. Konrad schrieb aber er wüsste keinen
Exploit der ohne JS auskäme.
Und: natürlich sind LFIs oder RFIs nicht SO offensichtlich, aber es
gibt genügend Anwendungen wo man es trotzdem ausnutzen kann.
Real Beispiel: http://securitytracker.com/id/1014149 oder auch
http://www.securityfocus.com/bid/39355/
selbst schon benutzt.
> Ich erinnere nochmal an meine Liste:
> - Ein Benutzer, der nachdenkt.
Allein die beiden Beispiele oben sollten zeigen, dass ein user zur
Interaktion nicht immer notwendig sein muss.
> - Keinen dubiosen, möglicherweise veralteten PHP-Schlonz (für Server)
PHP an sich ist kein Schlonz. PHP hat sehr gute Abwehrmechanismen für
SQL Injection.
Was die veralteten Sachen betrifft. Ich wette, dass ich bei dir auf
irgendeinen System Software mit Lücken finde, die bereits gepatcht
sind, deren Patch du aber noch nicht eingespielt hast. Immerhin nutzt
du Debian ;)
Es ist fast unmöglich heutzutage alle Software immer brandaktuell zu
halten. Wenn man nicht gerade ein Basis-System verwendet
> Es ging Konrad um Exploits, die auf einen *Webbrowser* abzielen. Das ist eine
> Untermenge aller Web-Exploits und es führt da nicht weiter, einfach mal alles
> in einen Topf zu werfen.
Ich verstand es so, dass es ihm um JS ging, leider hast du das
betreffende Zitat entfernt.
> Es ist keine Frage, dass das Risiko steigt, je mehr Angriffsfläche ich auf einem
> *Server*, der 24/7 im Internet steht, biete.
> Und dass es mit Web-Anwendungen auf PHP oder anderer Basis keinen 100%-igen
> Schutz gibt, ist auch klar.
Egal was ich nutze PHP, Perl, Python, <deinemudda> vollkommen egal.
PHP hat auch nur deswegen Schlagzeilen diesbezüglich gemacht, weil es
massentauglich ist. Wie gesagt, PHP hat Maßnahmen, die nützen gar
nicht, wenn ich sie nicht nutze.
Wie in C auch. Ich kann entweder strcpy oder strncpy verwenden (als
sehr sehr einfaches Beispiel).
> Aber auch hier sehe ich einen Virenscanner als letzte Maßnahme, es sei denn
> ClamAV mosert dann eine Zeile wie oben auch an und warnt mit so vor selbst
> installierten Sicherheitslücken.
ClamAV nicht, aber es gibt bei PHP tatsächlich Möglichkeiten sich vor
Blödsinns-code zu verteidigen (allow-url-open abschalten z.b.)
> Auch auf den Desktop gibt es keinen 100%-igen Schutz. Wie auch.
Den gibt es nirgends. Nicht auf Server, Desktops, Handies, tv-boxen,
Kaffemaschinen. etc.
Ich habe jetzt gelesen, durch IPv6 sollen es IP-Sensoren in Brücken
geben um die Statik zu überwachen. Die Leute kommen auf Ideen. Mir
soll es Recht sein. Klingt, als hätte ich noch viel Spaß in Zukunft.
> Ich bin jedoch weiterhin nicht davon überzeugt, dass mir auf einem Linux-
> basierten Desktop-System ein Virenscanner einen nennenswerten zusätzlichen
> Schutz bietet. Und werde daher auch weiterhin keinen installieren.
Ich will hier nicht missionieren. Tu was du willst, dein System. Mir
erspart das Arbeit.
> Und dass so lange, bis Evidenz für das Gegenteil sehe.
>
> Einen Beweis, den Du aus meiner Sicht bislang nicht einmal ansatzweise
> gebracht hast.
Nicht mal ansatzweise? Ok, da unterstelle ich dir einfach schlicht
eine bockige Einstellung.
> Und jetzt setze ich diesen Thread auf "ignorieren".
Schon wieder so eine unnötige Drohung. Was soll das?
> Ich bin schon einmal mit Dir so aneinandergeraten, mir gefällt Dein Tonfall
> nicht, daher
Mir bist du auch zu eindimensional. So ist das nun mal, wenn man mit
Menschen im Internet diskutiert. dir passt mein Tonfall. Fein,
verkrieche dich und warte darauf das man dich pudert. Bisher konnte
ich mich noch mit jedem Unterhalten der Willens war, an mir liegst
nicht allein.
> EOD.
Kenn ich, esse ich nicht. Das ist kein Argument, das ist Verhalten aus
dem Kindergarten. Jedem das Seine.
Wenn dich das im leben weiter bringt. Viel Erfolg :)
Gruß,
Björn
Reply to: